Од Том Мивис, адвокат во Law & More
Кибербезбедноста повеќе не е чисто техничко прашање. Таа е исто така правно и управувачко прашање кое влијае на практично секоја организација од која било големина.
Со Европската директива NIS2 и Холандскиот закон за сајбер безбедност, одговорноста за дигиталната отпорност цврсто се префрла на управниот одбор. Холандскиот закон за сајбер безбедност стапува на сила на 15 август 2026 година. Сопствениците на бизниси, директорите и службениците за усогласеност затоа мора да воспостават во краток рок:
- дали нивната организација спаѓа во опсегот на новите правила;
- кои обврски произлегуваат од нив;
- кои мерки се потребни;
- и како организацијата може да ги исполни тие обврски.
Оваа статија ги наведува главните елементи на NIS2 и холандскиот Закон за сајбер безбедност: опсегот, обврската за грижа, обврската за известување, одговорноста на одборот, спроведувањето и чекорите што организациите можат да ги преземат сега.
Што е NIS2?
NIS2 е формалната ознака на Директивата (ЕУ) 2022/2555. Таа ја наследува првата европска директива за безбедност на мрежи и информации, генерално позната како NIS1.
Од земјите-членки се бараше да го транспонираат NIS2 во националното законодавство до 17 октомври 2024 година. Од 18 октомври 2024 година, NIS2 формално ја замени претходната директива.
Неговата цел е да се подигне и подобро да се усогласи нивото на отпорност на сајбер напади во рамките на Европската Унија. Ова се одвива по две главни линии. Прво, поширок опсег: многу повеќе организации спаѓаат во правилата отколку во рамките на NIS1. Второ, зајакнат надзор и построго спроведување, со поширок сет на алатки и појасни одговорности за директорите.
Додека NIS1 правеше разлика помеѓу оператори на основни услуги и даватели на дигитални услуги, NIS2 работи со основни субјекти и важни субјекти. Таа разлика не е само терминолошка: меѓу другото, таа го одредува интензитетот на надзорот и нивото на потенцијални казни.
Кои организации спаѓаат под NIS2?
NIS2 се однесува на организации активни во осумнаесет назначени сектори, поделени на сектори со висока критичност и други критични сектори.
Секторите со висока критичност вклучуваат енергетика, транспорт, банкарство, инфраструктура на финансискиот пазар, здравствена заштита, вода за пиење и отпадни води, дигитална инфраструктура, управување со ИКТ услуги за деловни корисници, јавна администрација и простор.
Другите критични сектори вклучуваат поштенски и курирски услуги, управување со отпад, хемикалии, храна, производство, дигитални добавувачи и истражувачки институции.
Праг на големина
Во рамките на овие сектори, главното правило е дека организацијата спаѓа под NIS2 кога се квалификува како средно или големо претпријатие. Критериумите се најмалку 50 вработени или годишен обрт или вкупен биланс на состојба што надминува 10 милиони евра.
Постојат исклучоци од ова главно правило. Одредени организации спаѓаат во опсегот без оглед на големината, бидејќи нивните услуги се сметаат за особено критични:
- даватели на јавни електронски комуникациски мрежи и услуги;
- даватели на доверливи услуги;
- даватели на услуги за регистрација на доменски имиња;
- регистри на имиња на домени од највисоко ниво;
- тела од јавниот сектор.
Од 15 август 2026 година, новите обврски важат за над 8,000 организации во Холандија. Тоа е значително зголемување во споредба со бројот опфатен со тековниот Закон за безбедност на мрежи и информациски системи.
Организациите кои претходно не се сметале себеси за дел од критичен сектор, затоа може да бидат зафатени, вклучувајќи ги средните производители, производителите на храна, истражувачките институции и давателите на дигитални услуги. Важно е што организациите се самите одговорни за проценка дали спаѓаат во опфатот. Нема да пристигне писмо од надзорник во кое ќе им се каже тоа.
Должноста за грижа: кои мерки се потребни?
Суштината на NIS2 и холандскиот Закон за сајбер безбедност е должноста за грижа. Суштинските и важните субјекти мора да преземат соодветни и пропорционални технички, оперативни и организациски мерки за управување со ризиците за нивната мрежа и информациски системи.
Правилата ги идентификуваат темите што политиката во секој случај мора да ги опфати:
- анализа на ризик и политика за безбедност на информациите;
- справување со инциденти;
- континуитет на работењето, управување со резервни копии и опоравување од катастрофа;
- безбедност на синџирот на снабдување;
- сајбер хигиена и обука на персоналот;
- политика за справување со ранливости;
- повеќефакторска автентикација;
- безбедни комуникации;
- криптографија;
- периодична проценка на ефикасноста на мерките.
Мерките мора да бидат пропорционални на големината на организацијата и ризиците на кои таа е всушност изложена. Затоа, помал важен субјект не мора да ги презема истите мерки како голем суштински субјект во сектор со висок ризик.
Тоа не ја прави обврската за грижа опционална. Организациите мора да бидат способни да докажат кои ризици ги идентификувале, кои мерки ги презеле и зошто тие мерки се соодветни. Не само самите мерки, туку и начинот на кој тие се мерат, евидентираат и периодично се оценуваат, се предмет на надзор.
Должност за известување по инцидент
Заедно со обврската за грижа, NIS2 наметнува обврска за постепено известување за значајни инциденти. Кога инцидентот има или може да има значително влијание врз континуитетот на услугите, следниве рокови се применуваат во општа смисла:
- во рок од 24 часа, рано предупредување до националниот тим за одговор на инциденти поврзани со компјутерската безбедност или до надлежниот орган;
- во рок од 72 часа, формално известување со почетна проценка на сериозноста и влијанието;
- најдоцна во рок од еден месец, конечен извештај во кој се опишува инцидентот, неговата веројатна причина, преземените мерки и сите прекугранични ефекти.
Овие рокови налагаат однапред да се воспостават јасни процедури. Организацијата мора да знае кога е потребно известување за инцидент, кој е овластен да известува, кои информации мора да бидат достапни, кој координира и како се информираат одборот и супервизорот.
Организација која само се обидува да воспостави процес на известување за време на инцидент, се соочува со значителен ризик да не може да извести навреме или во целост.
Одговорност на одборот
Важен елемент на NIS2 е тоа што одговорноста за управување со сајбер ризикот е експлицитно поставена на управниот одбор. Одборот мора да ги одобри безбедносните мерки, да го надгледува нивното спроведување, да биде во можност да ги процени сајбер ризиците на организацијата и самиот да помине доволна обука.
Затоа, сајбер безбедноста повеќе не може да се третира како одговорност само на ИТ одделот. Тоа е тема на управување што мора да биде дел од редовното донесување одлуки и управувањето со ризици.
Директивата, исто така, изрично се однесува на личната одговорност на вишиот менаџмент кога организацијата не се придржува до прописите. Евидентирајте го вклучувањето на одборот соодветно, на пример преку документирање на спроведените обуки, одлуките на одборот, одобрената политика, проценките на ризикот, известувањето и надзорот врз спроведувањето.
Холандската имплементација
Имплементацијата на NIS2 во Холандија значително се одложи. Рокот за транспонирање од 17 октомври 2024 година не беше исполнет.
На 8 јули 2026 година, Европската комисија одлучи да ја упати Холандија, заедно со Ирска, Шпанија и Франција, до Судот на правдата на Европската Унија поради тоа што не ги известила мерките за транспонирање. Така, Холандија беше меѓу четирите заостанати земји на Европската Унија.
Времето е впечатливо. Еден ден претходно, на 7 јули 2026 година, Сенатот ги одобри Законот за сајбер безбедност и Законот за отпорност на критичните субјекти. Дали фактот дека Законот е усвоен пред да биде испратено барањето влијае на исходот од постапката, останува да се види; тоа треба да го одлучи Судот.
И двата закона стапуваат во сила на 15 август 2026 година. Законот за сајбер безбедност ја спроведува Директивата NIS2; Законот за отпорност на критични субјекти ја спроведува Европската директива CER, насочена кон отпорноста на критичната инфраструктура. Организациите опфатени со вторава ќе бидат формално назначени како критични субјекти од 15 август 2026 година.
Со стапувањето во сила, престанува да важи тековниот Закон за безбедност на мрежи и информациски системи (Wbni). За организациите што веќе се опфатени со него, ова значи потешки обврски; за организациите што за прв пат влегуваат во него, сосема нов режим.
Регистрација во NCSC
Важна нова обврска е регистрацијата во Националниот центар за сајбер безбедност. Основните и важните субјекти мора да бидат внесени во националниот регистар на субјекти. Таа регистрација е задолжителна од 15 август 2026 година и се извршува преку порталот MijnNCSC, користејќи eHerkenning за обични организации и SSOnRijk за тела од јавниот сектор. Промените на регистрираните податоци мора да се пријават во рок од четиринаесет дена.
Регистрацијата не е само административна формалност. Откако ќе се регистрираат, организациите можат да се поврзат со услугите на нивниот CSIRT, кој обезбедува производи и услуги за зголемување на отпорноста, како и поддршка во случај на инцидент. Подгответе ја регистрацијата навреме, така што имплементацијата не започнува дури по стапувањето во сила.
Надзор и спроведување
Законот за сајбер безбедност предвидува диференциран режим на надзор. Основните субјекти се предмет на проактивен надзор: супервизорот може континуирано и по сопствена иницијатива да проверува, без никаков конкретен инцидент или сигнал. Важните субјекти се предмет на реактивен надзор, каде што супервизорот во принцип дејствува како одговор на инцидент, жалба или друг конкретен сигнал.
Надзорот е поделен на неколку органи. Од 15 август 2026 година, Холандскиот орган за дигитална инфраструктура врши надзор на организациите во девет сектори; други супервизори се назначени за други сектори. Утврдете кој супервизор е надлежен за вашата организација.
Комплетот алатки за спроведување е широк и вклучува:
- безбедносно скенирање или безбедносна ревизија;
- обврзувачка инструкција;
- налог за административно извршување или налог за кој се наплаќа казна;
- објавување на прекршок;
- административна казна;
- за основни субјекти: суспензија на сертификација, овластување или член на одборот.
За суштинските субјекти, максималната казна е најмалку 10 милиони евра или 2% од вкупниот годишен промет во светот, кое од двете е поголемо. За важните субјекти, таа е најмалку 7 милиони евра или 1.4% од годишниот промет во светот, повторно кое од двете е поголемо. Конечното ниво зависи од околностите на случајот, вклучувајќи ја природата, сериозноста и времетраењето на прекршокот, степенот на вина и преземените мерки.
Што може да направи вашата организација сега?
- Спроведете самооценување. Утврдете дали организацијата е активна во назначениот сектор и го исполнува прагот за големина.
- Определете ја точната категорија. Утврдете дали организацијата се квалификува како суштински или важен субјект и кој надзорник е компетентен.
- Подгответе ја регистрацијата. Соберете ги податоците потребни за регистрација во NCSC преку MijnNCSC.
- Тестирајте ги мерките за должност на грижа. Проценете ги постојните мерки за анализа на ризик, одговор на инциденти, континуитет на работењето, безбедност на синџирот на снабдување, сајбер хигиена, ранливости, повеќефакторска автентикација и криптографија.
- Поставете го процесот на известување. Запишете кој проценува дали инцидентот е предмет на известување, кој известува и како се почитуваат роковите од 24 часа, 72 часа и еден месец.
- Вклучете го одборот демонстративно. Запишете ги одлуките што ги донел одборот, која обука е спроведена и како се врши надзорот врз спроведувањето.
- Вклучете го синџирот на снабдување. Голем дел од ранливостите не се јавуваат во самата организација, туку кај добавувачите и давателите на услуги. Прегледајте ги вашите договори за безбедносни аранжмани, должности за известување и права за ревизија.
Во затворање
Законот за сајбер безбедност и Законот за отпорност на критични субјекти претставуваат значително заострување на обврските за сајбер безбедност. Поширокиот опсег, конкретните мерки за грижа, кратки рокови за известување, личната одговорност за директорите и значителниот сет на алатки за спроведување значат дека организациите не можат да ја остават оваа тема настрана. Со стапувањето во сила на 15 август 2026 година, времето за подготовка е кратко.
Law & More им помага на бизнисите, директорите и службениците за усогласеност во утврдувањето на нивната позиција според NIS2 и холандскиот Закон за сајбер безбедност, поставувањето и тестирањето на мерките за должност на грижа, подготовката на регистрацијата кај NCSC и законското вградување на политиката за сајбер безбедност.
Дали сакате да се процени позицијата на вашата организација според новите правила? Слободно контактирајте не за разговор без обврска.
Најчесто поставувани прашања
Подолу ќе одговориме на најчесто поставуваните прашања на оваа тема.
Кога стапува на сила холандскиот Закон за сајбер безбедност?
На 15 август 2026 година. Сенатот ги одобри Законот за сајбер безбедност и Законот за отпорност на критични субјекти на 7 јули 2026 година. Со стапувањето во сила, тековниот Закон за безбедност на мрежи и информациски системи (Wbni) престанува да важи.
Дали мојата организација спаѓа под NIS2?
Тоа зависи од вашиот сектор и вашата големина. NIS2 опфаќа осумнаесет назначени сектори и, во рамките на тие сектори, како главно правило организации со најмалку 50 вработени или годишен обрт или вкупен биланс на состојба што надминува 10 милиони евра. Одредени страни се опфатени без оглед на големината.
Дали ќе бидам известен/а доколку мојата организација е во опсегот?
Не. Организациите се самите одговорни за проценка дали потпаѓаат под Законот за сајбер безбедност. Чекањето ризикува да се применат обврски пред да се направи проценката.
Која е разликата помеѓу суштински и важен ентитет?
Го одредува интензитетот на надзорот и нивото на потенцијални казни. Основните субјекти се предмет на проактивен надзор, каде што супервизорот може да провери по сопствена иницијатива. Важните субјекти се предмет на реактивен надзор, поттикнат од инцидент, жалба или друг сигнал.
Што вклучува должноста за грижа?
Преземање соодветни и пропорционални технички, оперативни и организациски мерки за управување со ризиците за вашата мрежа и информациски системи, опфаќајќи прашања како што се анализа на ризик, справување со инциденти, континуитет на работењето, безбедност на синџирот на снабдување, сајбер хигиена, ранливости, повеќефакторска автентикација и криптографија. Мора да бидете во можност да оправдате зошто избраните мерки се соодветни.
Кои рокови за известување важат по инцидентот?
Рано предупредување во рок од 24 часа, формално известување во рок од 72 часа со почетна проценка на сериозноста и влијанието и конечен извештај најдоцна во рок од еден месец. Однапред поставете го процесот на известување.
Дали мојата организација мора да се регистрира?
Да. Регистрацијата во националниот регистар на субјекти е задолжителна од 15 август 2026 година и се извршува преку MijnNCSC, користејќи eHerkenning или, за тела од јавниот сектор, SSOnRijk. Промените мора да се пријават во рок од четиринаесет дена. Откако ќе се регистрирате, можете да се поврзете со услугите на вашиот CSIRT.
Каква одговорност лежи кај одборот?
Одборот мора да ги одобри безбедносните мерки, да го надгледува нивното спроведување, да може да ги процени сајбер ризиците и самиот да помине обука. Директивата се однесува на личната одговорност на вишиот менаџмент за непочитување, затоа евидентирајте ги одлуките, обуките и надзорот на демонстративен начин.
Колку се високи казните?
За основни субјекти најмалку 10 милиони евра или 2% од светскиот годишен обрт; за важни субјекти најмалку 7 милиони евра или 1.4%, во секој случај кое од двете е повисоко. Конечното ниво зависи од фактори, вклучувајќи ја природата, сериозноста и времетраењето на прекршокот и степенот на вина.
Кој го надгледува усогласеноста?
Тоа варира во зависност од секторот. Од 15 август 2026 година, Холандскиот орган за дигитална инфраструктура врши надзор на организациите во девет сектори; други супервизори се назначени за други сектори. Утврдете кој супервизор е надлежен за вашата организација.
Зошто Холандија е упатена пред Судот на правдата?
За доцнење во транспонирањето на NIS2. На 8 јули 2026 година, Европската комисија одлучи да ги упати Холандија, заедно со Ирска, Шпанија и Франција, пред Судот на правдата поради тоа што не ги известиле мерките за транспонирање. Фактот дека Законот за сајбер безбедност беше усвоен еден ден порано, сам по себе не ја завршува таа постапка.
Дали ова важи и за моите добавувачи?
Безбедноста на синџирот на снабдување е една од темите на должност за грижа. Голем дел од ранливостите се јавуваат кај добавувачите и давателите на услуги. Прегледајте ги вашите договори за безбедносни аранжмани, должности за известување и права за ревизија.
